“恐慌并未转化为修补”：安全研究人员对PHP2Shell响应措施的真实看法
内容提要
PHP2Shell高危漏洞（CVSS 9.2）披露五天后，约93.6%的服务器仍未修补，数千万PHP服务暴露在外，其中大量运行已停止支持的版本，需升级而非简单打补丁。攻击已实际发生，Cloudflare称漏洞公开后数小时内攻击尝试从数千激增至数百万。美国CISA已要求联邦机构限期修复，但整体修复进展缓慢，风险持续加剧。
延伸解读
补丁统计的盲区：版本号不等于安全状态
Censys 统计显示约 1120 万 PHP 服务报告已修补版本，但 Linux 发行版常在不改版本号的情况下回补修复，因此部分“易受攻击”服务可能实际已打补丁。同时，Censys 无法识别 6130 万个 PHP 服务（占检测总量的 58%）的运行版本，其中许多可能是不受支持的旧版本。这意味着仅凭版本号判断修复进度并不可靠，真实暴露面可能比数字更复杂。
大量服务器运行不受支持版本，升级比打补丁更棘手
Flare 追踪的 220 万条 PHP 服务记录中，近四分之三运行 PHP 项目已不再支持的分支；Mallory 调查的 260 万服务中约 73.5% 运行不受支持版本。这类系统没有官方补丁，必须升级到受支持版本，并处理应用兼容性或联系供应商获取修复。ArmorCode 的 Ramy Rahman 指出，这比给受支持版本打补丁复杂得多，也解释了修复进展缓慢的原因。
攻击已从试探转向实际利用，修复窗口正在关闭
Cloudflare CEO Matthew Prince 表示，漏洞公开前 10 小时已出现数千次利用尝试，公开后 45 分钟增至数万次，2 小时内达数十万次，如今已达数百万次。Paerplexity AI 的 Adel Karimi 称其蜜罐记录到针对 Apache mod_php（PHP 8.4.26 未打补丁版本）的远程代码执行证据，但提醒该单 worker 环境对攻击者有利。CISA 已将相关 CVE 列入已知被利用漏洞目录，表明攻击并非推测。
强制修复令与自愿行动之间的落差
美国 CISA 要求联邦民事行政部门机构在 2026 年 10 月 29 日前完成 PHP2Shell 修复，但文章指出这“说起来容易做起来难”。部分组织已采取行动，如 Wikimedia Foundation 和 Internet Archive 完成修复，两个 PHP 驱动的在线游戏永久关闭；然而 Ox 报告披露五天后仍有 93.6% 的服务器暴露。NSA 建议，若无法立即更新，应将系统离线直至完全缓解，但多数组织并未这样做。
Q&A
PHP2Shell漏洞的CVSS评分是多少？影响范围有多大？
PHP2Shell漏洞的CVSS评分为9.2，属于高危漏洞。由于约70%的网站使用PHP（如WordPress），数千万PHP服务暴露在外，风险极高。
PHP2Shell漏洞披露后，服务器的修补进展如何？
披露五天后，约93.6%的服务器仍未修补。Censys调查显示约3250万服务运行不安全版本，另有6130万服务版本未知（可能多为不支持版本）。整体修复进展缓慢。
为什么很多PHP服务器无法简单打补丁？
大量服务器运行已停止支持的PHP版本（如Flare报告近四分之三运行不支持分支），这些版本没有官方补丁，必须升级到受支持版本，涉及应用升级、兼容性处理等复杂工作。
PHP2Shell漏洞是否已被实际利用？攻击趋势如何？
是的，攻击已实际发生。Cloudflare CEO称漏洞公开前10小时就有数千次利用尝试，公开后45分钟增至数万，2小时内达数十万，现在已达数百万次。CISA已将其列入已知被利用漏洞目录。
美国CISA对PHP2Shell漏洞的修复有什么要求？
CISA要求联邦文职行政机构必须在2026年10月29日前完成修复，并将该漏洞列入已知被利用漏洞目录。但实际修复进展缓慢。
面对PHP2Shell漏洞，如果无法立即更新，应该采取什么措施？
NSA建议，如果无法立即更新，应将系统离线直到完全缓解。部分组织如Wikimedia基金会和Internet Archive已采取行动，但大多数组织并未这样做。
